在Python中，防止SQL注入的主要方法是使用参数化查询。以下是一些关键步骤和注意事项：
使用参数化查询
使用`cursor.execute（sql, args）`方法，其中`sql`是SQL语句，`args`是参数列表。
例如，使用`pymysql`库时，可以这样写：
import pymysqlconn = pymysql.connect（host='127.0.0.1', user='root', password='root', db='testdb', charset='utf8'）cursor = conn.cursor（）sql_str = "SELECT * FROM py_msgcontrol.py_msgcontrol_file_base_info WHERE file_name = %s"args = （'12', 'select now（）'）cursor.execute（sql_str, args）
避免直接拼接参数
不要将参数直接拼接到SQL语句字符串中，这样会导致SQL语法错误，并且无法防止SQL注入。
字符转义
在某些情况下，你可能需要手动转义SQL语句中的特殊字符。例如，使用`escape_string`函数来转义字符串参数。
使用数据库连接库
使用成熟的数据库连接库，如`pymysql`或`psycopg2`，它们通常会自动处理参数转义，减少SQL注入的风险。
关闭数据库连接
完成数据库操作后，记得关闭游标和连接，释放资源。
使用上下文管理器
使用`with`语句可以自动管理数据库连接和游标的打开与关闭，例如：
with pymysql.connect（host='127.0.0.1', user='root', password='root', db='testdb', charset='utf8'） as conn:with conn.cursor（） as cursor:sql_str = "SELECT * FROM py_msgcontrol.py_msgcontrol_file_base_info WHERE file_name = %s"args = （'12', 'select now（）'）cursor.execute（sql_str, args）
通过以上方法，你可以有效地防止SQL注入攻击。请确保你的代码遵循这些最佳实践，以保护你的应用程序和数据库不受SQL注入的威胁